IT-Nexus/SYSTEM_AUDIT_2026-05-07.md

IT Nexus System Audit — 07.05.2026

Erstellt von: Claude (Read-Only, keine Änderungen) Status: Offen — noch nicht bearbeitet

---

Executive Summary

Das System läuft stabil. Frontend und Backend sind erreichbar, die letzten 10+ Tage alle grün im Health-Check. Es gibt aber konkrete Probleme in den Bereichen Sicherheit, Konsistenz und Wartbarkeit.

---

🟢 Was gut ist

Bereich	Status
System erreichbar (HTTPS)	✅
Health: letzte 10 Tage	✅ alle grün
Agent-Auth (X-Agent-Key)	✅ korrekt
JWT-Auth auf geschützten Routes	✅ korrekt
Rate-Limiting auf Login	✅ vorhanden
DB-Migrations (try/catch)	✅ idempotent
asyncHandler auf Controllern	✅ konsistent

---

🔴 Kritische Probleme (sofort)

1. Agent-Version Default falsch

• AGENT_VERSION Fallback im Code noch auf '1.2.4' — zieht sich durch 3 Stellen im Controller
• Fix: In docker-compose.yml AGENT_VERSION=2.0.0 — bereits gesetzt ✅. Aber Fallback im Code noch '1.2.4' und '1.2.3' — sollte auf '2.0.0' geändert werden
• Dateien: backend/src/controllers/monitoringAgent.controller.js Zeilen 25, 113, 136

2. /api/monitoring/agent-setup ohne vollständige Auth

• Endpoint prüft Key im Controller, aber Route liegt vor Middleware — unkonventionell
• Kein HTTPS-erzwungener Download

3. SSE-Endpoints mit Token im Query-Parameter

• /api/tickets/:id/events?token=xxx — Token landet in Server-Logs und Browser-History
• /api/network-monitor/sse?token=xxx — gleiches Problem
• Dateien: backend/src/routes/ticket.routes.js, backend/src/routes/networkMonitor.routes.js

---

🟡 Hohe Priorität (diese Woche)

4. Kein Rate-Limiting außer Login

• POST /api/tickets/public — jeder kann Tickets erstellen, keine Limits
• POST /api/tickets/:id/comments — Spam möglich
• Datei: backend/src/server.js Zeilen 64-74

5. Keine Pagination auf großen Endpoints

• GET /api/users → alle User auf einmal
• GET /api/assets → alle Assets auf einmal
• GET /api/tickets → alle Tickets
• Bei Wachstum wird das ein Performance-Problem

6. E-Mail-Fehler werden ignoriert

• .catch(err => console.error()) ohne Retry
• Bestätigungs-Mails, Onboarding-Mails könnten lautlos verloren gehen
• Dateien: backend/src/controllers/ticket.controller.js Zeilen 131, 137, 178

7. Kein Graceful Shutdown der DB

• SQLite wird beim Neustart nicht sauber geschlossen → mögliche Locks
• Datei: backend/src/server.js (fehlt: process.on('SIGTERM') Handler)

---

🟠 Mittlere Priorität (diesen Monat)

8. Kein strukturiertes Logging

• Überall console.log/error — kein Log-Level, kein JSON-Format
• Schwer zu debuggen in Produktion
• Empfehlung: Winston oder Pino einführen

9. Planner-Sync läuft alle 10 Sekunden

• Sehr aggressiv — sollte 5 Minuten sein
• Datei: backend/src/server.js Zeile 274-290

10. CORS in Dev auf *

• Alle Ursprünge erlaubt — sollte auch in Dev eingeschränkt sein
• Datei: backend/src/server.js Zeilen 46-53

11. Onboarding-PII unverschlüsselt

• emp_phone, emp_address, emp_private_email in Klartext in DB
• DSGVO-relevant bei DB-Leak
• Tabelle: onboarding_protocols

12. Schema-Inkonsistenz Asset-Typen

• DB-Schema kennt 4 Typen, seed.js seeded 9 Typen — CHECK-Constraint wird umgangen
• Datei: backend/src/db/seed.js

13. Audit-Logging unvollständig

• Password-Änderungen nicht gelogged
• Token-Generierungen nicht gelogged
• Empfehlung: Alle Auth-Events in audit_log schreiben

---

📊 Vollständige Route-Übersicht

Auth Routes (/api/auth)

Methode	Pfad	Auth
POST	/login	Public (Rate-Limited)
GET	/me	JWT
POST	/change-password	JWT
PUT	/notifications	JWT
PUT	/staff-notifications	JWT
GET	/microsoft	Public
GET	/microsoft/callback	Public
GET	/microsoft/addin	Public
GET	/microsoft/addin-callback	Public
GET	/microsoft/addin-result/:sessionId	Public

Monitoring Routes (/api/monitoring)

Methode	Pfad	Auth
POST	/checkin	X-Agent-Key
POST	/announcements-poll	X-Agent-Key
GET	/agent-script	X-Agent-Key
GET	/agent-setup	X-Agent-Key (Controller)
GET	/statistics	JWT + Admin
GET	/	JWT + Admin
GET	/:id	JWT + Admin
DELETE	/:id	JWT + Admin

Patch Routes (/api/patch)

Methode	Pfad	Auth
POST	/commands/result	X-Agent-Key
GET	/overview	JWT
GET	/groups	JWT + Admin
POST	/groups	JWT + Admin
PUT	/groups/:id	JWT + Admin
DELETE	/groups/:id	JWT + Admin
POST	/commands/trigger	JWT + Admin
POST	/commands/trigger-group	JWT + Admin
GET	/commands	JWT + Admin

---

📋 Datenbank-Tabellen (38 gesamt)

Tabelle	Zweck
roles	Benutzerrollen
users	Benutzerkonten
fido_keys	FIDO2-Schlüssel
assets	IT-Assets
asset_assignments	Asset-Zuweisungen
asset_inspections	Inspektionen
asset_movements	Bewegungshistorie
asset_types	Asset-Kategorien
onboarding_protocols	Onboarding
offboarding_protocols	Offboarding
tickets	Support-Tickets
ticket_comments	Kommentare
ticket_links	Ticket-Verknüpfungen
ticket_assignees	Mehrfach-Zuweisungen
ticket_routing	Auto-Routing
monitoring_agents	Windows Agenten
network_devices	Netzwerk-Monitoring
device_checks	Prüf-Ergebnisse
health_history	System-Health
patch_groups	Patch-Gruppen
patch_policies	Patch-Richtlinien
patch_agent_groups	Agent-Gruppen
patch_commands	Patch-Befehle
licenses	Softwarelizenzen
warehouse_locations	Lagerplätze
stock_thresholds	Mindestbestände
purchase_orders	Bestellungen
knowledge_base	Wissensdatenbank
ai_knowledge	KI-Wissensdatenbank
portal_guides	Portal-Guides
announcements	Ankündigungen
announcement_acks	Bestätigungen
external_alerts	Externe Warnungen
teams_channels	Teams-Kanäle
audit_log	Audit-Protokoll
unifi_config	Unifi-Konfiguration
unifi_devices	Unifi-Geräte
it_topics	IT-Übersicht

---

📋 Priorisierte To-Do-Liste

Prio	Aufwand	Was	Datei
1	5 Min	Code-Fallback '1.2.4' → '2.0.0'	monitoringAgent.controller.js
2	30 Min	Rate-Limiting auf public Ticket-Erstellung	server.js
3	30 Min	Pagination auf /api/users, /api/assets, /api/tickets	controllers
4	1h	Graceful Shutdown für SQLite	server.js
5	2h	E-Mail Retry-Logic	ticket.controller.js
6	2h	SSE Token aus Query absichern	routes
7	1 Tag	Strukturiertes Logging einführen	server.js + alle
8	1 Tag	PII-Felder verschlüsseln (DSGVO)	onboarding_protocols

---

Live-System Stand (07.05.2026)

Health letzten 10 Tage	✅ alle OK
Frontend erreichbar	✅
API erreichbar	✅
Agent v2.0.0	✅ IT-NB-02, TBO-NB-02, FAM102223
Geräte mit altem Agent	⚠️ ~41 Geräte noch v1.x
CT 110 (AI)	✅ nach fsck repariert
CT 102, 103, 111	✅ alle healthy

---

Nächster Schritt: Priorisierung mit Simon besprechen, dann schrittweise abarbeiten.